Как лицензируются криптовалютные казино

Зачем крипто-казино нужна двойная лицензия

Крипто-казино оперирует на стыке двух регуляций:

1. Игровая лицензия (онлайн-гемблинг) — право предлагать слоты, live-игры, ставки, лотереи; требования к RTP/RNG, жалобам, ответственной игре, хранению логов и т.д.

2. Лицензия/регистрация VASP (Virtual Asset Service Provider) — право работать с виртуальными активами (кастодиальные кошельки, прием/вывод крипто, обмен VA↔фиат), с обязанностями по AML/CTF, KYC и Travel Rule.

💡 В ряде юрисдикций достаточно одной игровой лицензии плюс уведомительный режим для VA; в других требуются оба статуса.

Модель бизнеса и влияние на требования

Кастодиальная модель (казино держит кошельки клиентов): обычно потребует VASP-статус, жёсткий ончейн-скрининг, хранение ключей (M-of-N, cold), лимиты и процедуры инцидентов.

Некостодиальная модель (кошелёк у клиента, smart-контракты/провайдеры платежей): риски ниже, но VASP-обязанности и AML-контроль чаще всего всё равно применяются (source of funds, санкции, Travel Rule при межплатформенных переводах).

Что проверяет регулятор при выдаче лицензии

1) Компания и собственники

Юрструктура (учредительные документы, реестр бенефициаров).

Fit & Proper ключевых лиц: репутация, отсутствие судимостей, профильный опыт.

Источник средств акционеров (SoW) и капитализация (минимальный уставный/операционный капитал).

2) Продукт и технологическая платформа

RNG и “provably fair”: сертификация независимыми лабораториями + криптографическое доказательство честности (не заменяет сертификацию).

Бэкофис и логи: событийные журналы, неизменяемые записи (WORM/тайм-стемпы), хранение по срокам лицензии.

Инфраструктура: отказоустойчивость, мониторинг, DRP/BCP, пентест/аудит безопасности.

Интеграции: платежи (фиат/крипто), провайдеры игр, оракулы, KYC/санкционные скринеры.

3) Комплаенс и защита игроков

KYC/CDD/EDD: политика, триггеры, документы; верификация владельца платёжного метода/кошелька.

AML/CTF: риск-оценка (BWRA), правила мониторинга, граф- и ончейн-аналитика, SAR/STR-процедуры, запрет tipping-off.

Travel Rule: обмен данными при VA-переводах (где требуется), вайтлист VASP/бирж.

Ответственная игра: лимиты депозитов/потерь/времени, самоисключение, возрастной контроль.

Жалобы и ADR/омбудсмен: порядок рассмотрения, сроки, арбитраж.

Защита средств игроков: сегрегация/гарантийные счета/страхование, политика на случай неплатёжеспособности.

4) Маркетинг и геоблокировка

Реклама/аффилиаты: гайды, запреты “dark patterns”, раскрытие условий бонусов.

Гео-ограничения и санкции: IP/GPS/ASN-контроль, black-lists юрисдикций, PEP/санк-скрининг с рескринингом.

Пакет документов: что готовить заранее

Учредительные документы, реестр бенефициаров, диаграмма владения.

Анкеты Fit & Proper (KYC на директоров/бенефициаров): паспорта, справки об отсутствии судимостей, резюме, рекомендации.

Финплан и модель рисков: P&L/CF, описание продуктов, прогноз нагрузки.

Политики и процедуры: AML/CTF (BWRA, EDD, SAR/STR), KYC/санкции, ответственная игра, жалобы/ADR, ретенция данных, инциденты, информационная безопасность.

Тех-досье: архитектура, доступы по ролям, логи, DRP/BCP, багбаунти, результаты пентестов.

Договоры и SLA с провайдерами (игровые студии, PSP/криптопроцессинг, KYC-провайдеры, ончейн-аналитика).

Сертификаты/отчёты лабораторий по RNG/платформе.

Политика хранения средств игроков и подтверждение банковских/кастодиальных соглашений.

Сроки и этапы (типовой ритм)

1. Прескопинг (2–6 недель): выбор юрисдикции, оценка модели (кастодиальная/нет), GAP-анализ требований.

2. Подготовка пакета (4–12 недель): финализация политик, договоров, архитектуры, сбор справок и сертификаций.

3. Подача и взаимодействие (8–20 недель): Q&A с регулятором, доработки, очные интервью ключевых лиц.

4. Условное одобрение → production-аудит → лицензия.

5. Пост-лицензия: регулярная отчётность, независимые аудиты, ресертификация, обучение персонала.

(Реальные сроки сильно зависят от юрисдикции и готовности документов.)

Бюджет соответствия (в общих чертах)

Разовые: application/due-diligence fees, лабораторные сертификации, легализация документов, консультации.

Ежегодные: license fee, надзорные сборы, регуляторные аудиты, провайдеры KYC/AML/ончейн-аналитики, пентесты, страхование, ADR-взносы.

Операционные: PSP/крипто-процессинг, хостинг/CDN, case-management, обучение, обновления политик.

Технические и крипто-специфичные требования

Ончейн-скрининг входящих/исходящих транзакций; риск-метки (миксеры, взломы, санкции).

Кастодиальные кошельки: холодное хранение, многоподпись, лимиты, алерты, журнал действий; политика «аварийного выключателя» (circuit breaker).

Smart-контракты: не менее двух независимых аудитов, контроль админ-прав (timelock, multisig), план миграций.

Provably fair: хэш-сид, верификация клиентом; требования регулятора к независимой проверке остаются.

Данные и приватность: DPIA, минимизация, шифрование PII «на диске и в канале», сроки ретенции, права субъекта данных.

Частые ошибки заявителей

“Только provably fair — без RNG-сертификации”. Регулятор не примет.

Нет внятной политики Travel Rule и вайтлиста VASP/бирж. Отказы/задержки.

Слабая сегрегация средств игроков и неясная схема кастодиального хранения.

Отсутствие BWRA/EDD-триггеров (лишь “общий AML” без риск-матриц).

Маркетинг через аффилиатов в запрещённых гео — жёсткие санкции вплоть до отзыва.

Неоформленные отношения с провайдерами (нет SLA/прав на аудит/инцидент-репортинг).

Недостаточная квалификация ключевых лиц (комплаенс-офицер “по совместительству”).

Как выбрать юрисдикцию (рамка для сравнения)

Продуктовый охват (слоты, live, ставки, крипто-платежи).

Требуется ли VASP и при каких моделях (кастодиальная/некостодиальная).

Фискальная нагрузка (налог на GGR/прибыль, НДС, сборы).

Скорость рассмотрения/предсказуемость процедур.

Доступ к платёжным рельсам (банки, эмитенты стейблкоинов, PSP).

Репутация лицензии (конверсия трафика, доверие провайдеров и игроков).

Чек-лист перед подачей

1. Компания структурирована, бенефициары раскрыты, fit & proper пройдены.

2. Политики KYC/AML/Travel Rule, BWRA, EDD-матрица и кейс-менеджмент готовы.

3. RNG сертифицирован, provably fair реализован и документирован.

4. Кастодиальные процессы: cold-storage, multisig, лимиты, инциденты, журнал действий.

5. ADR, responsible gambling, жалобы и SLA прописаны.

6. Геоблокировка/санк-скрининг, device/IP-интеллидженс, список запрещённых юрисдикций.

7. Договоры с провайдерами, право на аудит, план B при отказах.

8. План аудитов/обучения персонала на год вперёд.

Мини-FAQ

Нужна ли VASP-лицензия всем крипто-казино?

Нет, зависит от модели. Но при кастодиальных кошельках и/или обмене VA↔фиат — почти всегда да.

Можно ли обойтись только “provably fair” без сертификации RNG?

Нет. Провайдеры и регуляторы требуют независимую сертификацию RNG и платформы.

Обязателен ли KYC, если выплаты в крипто?

Практически везде да: KYC/AML и санк-скрининг — базовый стандарт, плюс Travel Rule в соответствующих режимах.

Как защитить средства игроков?

Сегрегация счетов/кошельков, холодное хранение, многоподпись, лимиты, страхование/гарантии и понятная процедура вывода при форс-мажоре.

Что с маркетингом через аффилиатов?

Договоры с комплаенс-клауза́ми, верификация трафика, запрет “тёмной” рекламы и промо в заблокированных гео.

Лицензирование крипто-казино — это не одна бумага, а система: юридическая прозрачность и “fit & proper”, сертифицированный продукт (RNG + provably fair), сильный AML/KYC с Travel Rule, ончейн-скрининг и защита средств игроков, плюс дисциплина отчётности и аудитов. Операторы, которые закладывают compliance-by-design в архитектуру и процессы, получают устойчивый доступ к платёжам, доверие провайдеров и игроков — и, как следствие, предсказуемый рост без регуляторных сюрпризов.